Netzwerk-Redundanz ohne Risiko – Spanning Tree verständlich erklärt

Schleifenbildung tritt auf, wenn zwei Switches über mehrere Verbindungen miteinander kommunizieren. Was zunächst nach „guter Redundanz“ klingt, kann ohne geeignete Schutzmechanismen fatale Folgen haben: Datenpakete wie Broadcasts, Multicasts oder unbekannte Unicasts kreisen ungebremst im Netz, MAC-Tabellen werden ständig neu beschrieben, und es kommt zu massiven Broadcast-Stürmen – das Netzwerk ist praktisch lahmgelegt.

• Broadcast-Stürme: Ein einziges Broadcast-Paket kann sich so stark vervielfachen, dass sowohl die Ports als auch die Prozessoren der Switches komplett ausgelastet sind.
• MAC-Tabellen-Instabilität: Durch ständig wechselnde Übertragungswege können die Switches keine stabilen Einträge lernen – Frames werden über falsche Ports weitergeleitet.
• Doppelte Frames: Anwendungen verhalten sich unvorhersehbar, und bestehende Sitzungen können unvermittelt abbrechen.

Bildung von Schleifen im Netzwerk. Quelle: Technik-Kiste.de

 

Praxisbeispiel: Wenn ein kleines Kabel-Chaos das ganze Netz lahmlegt

Es ist Montagmorgen, kurz nach 9 Uhr. Der erste Kaffee ist kaum leer, als im Büro eines mittelständischen Unternehmens plötzlich nichts mehr geht.
E-Mails? Tot.
Telefonanlage? Stumm.
ERP-System (Enterprise-Resource-Planning-System)? Eingefroren.

Das Büro der IT ist nun der neue Place-to-be im Unternehmen, denn dort versucht sich nun jeder persönlich über die Vorkommnisse zu erkundigen.

Der Grund: Ein gut gemeinter Versuch, die Netzwerk-Redundanz zu „verbessern“.
Ein Techniker hat in einem Etagenverteiler kurzerhand eine weitere Verbindung zwischen zwei Switches hergestellt – doppelte Verbindung, doppelte Sicherheit, dachte er. Doch stattdessen war es der perfekte Auslöser für eine Netzwerkschleife.

Innerhalb von Sekunden begann der digitale Teufelskreis:

• Broadcast-Sturm: Ein einzelnes zufälliges Paket vervielfachte sich und peitschte durch alle Leitungen.
• MAC-Chaos: Die Switches wussten nicht mehr, wo welche Geräte zu finden sind – ständiges „Flattern“ der Tabellen.
• Anwendungs-Crashs: Daten landeten am falschen Ort, Sitzungen brachen reihenweise ab.

Die Switch-LEDs flackerten wie ein Stroboskop im Club, die Lüfter dröhnten auf Hochtouren – und die IT-Abteilung sprintete schnell Richtung Techniker am Etagenverteiler. Nach kurzer Diskussion erkannten sie, was das Problem sei. Erst das Abziehen des „zusätzlichen“ Kabels brachte wieder Ruhe ins Netz.

Lehre aus der Geschichte: Ohne ein Schutzprotokoll wie Spanning Tree kann schon eine einzige falsche Verbindung den kompletten Betrieb lahmlegen – und das in Sekunden.

Nun sollte dir bewusst sein, warum das Spanning Tree Protokoll so ungemein wichtig ist.

 

Spanning Tree Protocol (STP, IEEE 802.1D) – Fundament der Schleifenbildung

Das Spanning Tree Protocol (STP) sorgt dafür, dass aus einem physisch vermaschten Ethernet-Netzwerk eine logische, schleifenfreie Baumstruktur entsteht.
So können Redundanzen in der Verkabelung bestehen, ohne dass es zu endlosen Paketkreisläufen kommt.

Wie STP die Topologie formt

1. Wahl der Root Bridge
   Einer der Switches wird als zentrale Referenz („Wurzel“) gewählt. Diese Wahl erfolgt anhand einer Kombination aus Bridge Priority (konfigurierbarer Wert) und der MAC-Adresse. Der Switch mit der niedrigsten Kombination wird Root Bridge.
2. Pfadermittlung
   Alle anderen Switches ermitteln den kostengünstigsten Pfad (geringste Summe der Portkosten) zur Root Bridge.
3. Pfadblockierung für Schleifenfreiheit
   Verbindungen, die nicht zum optimalen Pfad gehören, werden in den Blocking-Modus versetzt, bleiben physisch bestehen und können bei Ausfällen als Ersatz aktiviert werden.

Daraus resultiert z. B. ein Netzwerkaufbau wie folgt:

Beispielhafte Verbindungen unter STP. Quelle: Technik-Kiste.de

 

Konvergenz – wenn sich das Netz neu sortiert

Wird eine Verbindung getrennt oder kommt eine neue hinzu, startet der Prozess der Konvergenz. Dabei tauschen Switches BPDU-Pakete aus und einigen sich erneut auf eine gemeinsame, schleifenfreie Topologie.
Dieser Vorgang kann bei klassischem STP mehrere Sekunden dauern, in denen betroffene Ports keinen Nutzdatenverkehr weiterleiten – ein wichtiger Aspekt für die Praxis.

In unserem vorherigen Beispiel fällt einer der Switches im Netzwerk aus. Somit einigen sich die verbliebenen Switches auf eine neue Topologie:

Neuordnung im Netzwerk nach Konvergenz. Quelle: Technik-Kiste.de

 

Kernkonzepte im Überblick

Im Kern vom STP stehen einige wenige Konzepte, die jedoch maßgeblich für die Funktion sind:

Konzept	Erklärung
Root Bridge	Zentrales Bezugssystem im Netz, bestimmt von Bridge Priority + MAC. Die Priority kann frei konfiguriert werden und ist der größte Einfluss bei der Einrichtung auf die Wahl der Root Bridge.
Pfadkosten	Zahlenwert pro Port, abhängig von der Bandbreite (z. B. 100 Mbit/s = Kosten 19)
BPDU	(Bridge Protocol Data Unit) sind Steuerframes, die STP-Informationen enthalten und zwischen Switches ausgetauscht werden. Durch sie formiert sich ein Netzwerk unter STP neu und Unterbrechungen werden festgestellt.

 

Port-Rollen

Anhand der festgestellten Pfade zur Root Bridge nehmen Ports unterschiedliche Rollen ein.

Port-Rolle	Funktion	Besonderheiten
Root Port (RP)	Port mit dem besten Pfad zur Root Bridge; empfängt den Verkehr in Richtung Root.	Pro Switch nur einer (außer der Root Bridge selbst).
Designated Port (DP)	Port, der auf einem Segment Frames weiterleitet und den Weg zur Root Bridge repräsentiert.	Jeder Link/Segment hat genau einen DP.
Non-Designated Port (NDP)	Port, der blockiert wird, um Schleifen zu verhindern.	Leitet keinen Nutzdatenverkehr, kann aber als Reserve dienen.
Alternate/Backup Port (optional in manchen Implementierungen)	Bereithalten eines alternativen Pfads für den Fall eines Ausfalls.	Nicht Teil des ursprünglichen 802.1D, kommt z. B. bei RSTP zum Einsatz.
Keine Rolle	Links zu Endgeräten fallen nicht unter das Spanning Tree Protocol-	-

 

Auf die voran gegangene Topologie sehen die Portrollen wie folgt auf:

Rollen der Ports in einer beispielhaften Topologie. Quelle: Technik-Kiste.de

💡Merke dir folgendes zu Root Ports (RP) und Designated Ports (DP):
Auf einem geteilten Medium (oder Punkt-zu-Punkt-Link) gibt es pro Segment einen Designated Port (DP) und einen Root Port (RP). Der DP liegt auf dem Switch, der für dieses Segment den besten Weg zur Root Bridge hat. Der RP liegt auf dem Switch der in Richtung Root möchte.

 

Port-Zustände und ihr Zweck

In einem redundanten Layer‑2‑Netzwerk entscheidet das Spanning Tree Protocol nicht nur welche Ports aktiv leiten, sondern auch in welchem Zustand sich jeder Port zu einem bestimmten Zeitpunkt befindet. Diese Port‑Zustände sind das Herzstück des Schleifenschutzes: Sie regeln, ob ein Port Datenverkehr weiterleitet, zunächst nur „lauscht“ oder komplett blockiert, um Schleifen zu verhindern.
Jeder Zustand erfüllt dabei eine ganz bestimmte Aufgabe – vom sicheren Hochfahren neuer Verbindungen bis zum stabilen Weiterleiten produktiven Traffics.

Zustand	Leitet Daten?	Lernt MAC?	BPDU-Verhalten	Zweck
Disabled	Nein	Nein	Nein	Port administrativ/physisch deaktiviert
Blocking	Nein	Nein	Empfängt	Verhindert Schleifen, wartet auf bessere BPDU
Listening	Nein	Nein	Sendet & empfängt	Topologie wird berechnet
Learning	Nein	Ja	Sendet & empfängt	Baut MAC-Tabelle auf, noch kein Datenverkehr
Forwarding	Ja	Ja	Sendet & empfängt	Normalbetrieb

 

Ein klassischer Access-Port, an dem ein Host (PC, Drucker, Server, VoIP‑Telefon …) hängt, landet nach dem Aktivieren oder nach einem Topologie‑Neuberechnen im Forwarding‑Zustand. Ohne Sonderkonfigurationen folgt er dem Ablauf:

Blocking → Listening → Learning → Forwarding

Der Vorgang bis sich ein Port im Zustand Forwarding befindet kann zwischen ca. 30 bis 50 Sekunden dauern.

Um diesen Vorgang zu beschleunigen, kann PortFast konfiguriert werden. Diese Sonderkonfiguration empfiehlt sich auf Access-Ports, da die Phasen Listening und Learning übersprungen werden. Somit wechselt der Port direkt nach dem Anschluss eines Hosts von Blocking auf Forwarding.

 

Bridge Protocol Data Units (BPDU) – Die „Sprache“ des Spanning Tree Protocol

Damit das Spanning Tree Protocol (STP) eine stabile, schleifenfreie Topologie aufbauen kann, müssen Switches ständig Informationen austauschen.
Diese Kommunikation erfolgt über spezielle Steuerframes – die BPDU.
Man kann sie sich als „Postkarten“ zwischen Switches vorstellen, auf denen wichtige Daten zur Topologie stehen.

Im klassischen IEEE 802.1D STP gibt es zwei Haupttypen:

• Configuration BPDU 📨
  Enthält zentrale Parameter der aktuellen Topologie – z. B. wer die Root Bridge ist, welche Pfadkosten gelten und welcher Switch welchen Portstatus hat. Sie wird von der Root Bridge versendet.
• Topology Change Notification (TCN) BPDU 🔔
  Meldet eine Topologieänderung (z. B. wenn ein Port ausfällt oder neu aktiv wird), damit alle Switches ihre MAC-Tabellen zeitnah anpassen. Sie wird durch den Switch versendet der als erstes eine Änderung feststellt.

Im stabilen Zustand verschickt nur die Root Bridge die Configuration BPDU in regelmäßigen Abständen (Standard: alle 2 Sekunden, gesteuert durch die „Hello Time“).

Diese BPDU laufen dann von der Root Bridge aus über alle Ports hinaus ins Netzwerk. Jeder Switch, der sie empfängt, prüft die enthaltenen Daten, aktualisiert gegebenenfalls seine Sicht auf die Topologie und gibt die BPDU – mit angepasstem „Root Path Cost“ – über seine Designated Ports an die jeweils nächsten Switches weiter.

Während einer Konvergenzphase (also wenn sich die Topologie noch nicht stabilisiert hat) kann vorübergehend jeder Switch BPDU versenden, um seine aktuelle Information weiterzugeben. Ist aber alles stabil, übernimmt die Root Bridge diese „Taktgeber“-Rolle allein.

💡Verständnishilfe: Stell dir BPDU wie den Funkverkehr eines Feuerwehr‑Einsatzes vor:
Alle Einsatzfahrzeuge (Switches) müssen wissen, wer der Einsatzleiter (Root Bridge) ist, welchen Weg sie nehmen sollen (Pfadkosten) und wann sich die Lage geändert hat (Topology Change). Ohne diesen Informationsfluss würde Chaos entstehen – genau wie in einem unkoordinierten Netzwerk mit Schleifen.

 

So „spricht“ STP über BPDU

Im stabilen Netzwerkzustand sendet in der Regel die Root Bridge in festen Zeitabständen ihre BPDU an alle angeschlossenen Switches.

Diese Pakete enthalten die entscheidenden Informationen zur aktuellen Topologie. Jeder empfangende Switch vergleicht die erhaltenen Daten mit seinen eigenen und entscheidet, ob die neue Information „besser“ ist – beispielsweise, weil sie einen kürzeren Weg zur Root Bridge beschreibt.

Falls dies der Fall ist, passt der Switch seine Port-Rollen und internen Parameter entsprechend an. Kommt es zu einer Änderung in der Netzwerkstruktur, etwa durch den Ausfall einer Verbindung oder den Anschluss eines neuen Geräts, werden umgehend neue BPDU verschickt.

Auf diese Weise kann das Spanning Tree Protocol die Topologie „schnell“ rekonfigurieren und sicherstellen, dass keine Schleifen entstehen.

Bei einem Ereignis im Netzwerk sieht der Ablauf typischerweise so aus:

1. Ereignis (keine BPDU – lokales Ereignis): Physische oder logische Änderung im Netzwerk, z.  neuer Link, Ausfall einer Verbindung, neue Bridge erkannt.
2. Erkennung (lokal): Der direkt betroffene Switch bemerkt die Änderung (z.  Link‑Up/Down) oder empfängt eine „bessere“ BPDU als zuvor.
3. TCN‑Start → Topology Change Notification BPDU: Der betroffene Switch sendet über seinen Root Port eine TCN BPDU in Richtung Root Bridge, um die Änderung anzumelden.
4. Weiterleitung der TCN → TCN BPDU: Alle Switches auf dem Weg zur Root Bridge leiten diese unverändert weiter.
5. Bestätigung durch Root Bridge → Configuration BPDU mit gesetztem TC‑Flag: Die Root Bridge beginnt für eine definierte Zeit (Topology Change Timer) in ihren normalen Configuration BPDU das Topology Change Flag zu setzen.
6. Reaktion aller Switches → Configuration BPDUs mit TC‑Flag: Jeder Switch, der eine solche BPDU empfängt, verkürzt seine MAC‑Aging‑Time und leert veraltete Einträge, während Ports im Forwarding‑Zustand bleiben.
7. Gegebenenfalls Port‑Transition → Configuration BPDU: Falls die Neuberechnung von STP ergibt, dass sich Port‑Rollen ändern müssen, durchlaufen diese Ports die Sequenz Blocking → Listening → Learning → Forwarding, gesteuert durch den Empfang und Versand von Configuration BPDUs mit aktualisierten Werten.
8. Stabilisierung → Configuration BPDUs (ohne TC‑Flag): Nach Ablauf der Timer sendet die Root Bridge wieder normale Configuration BPDUs ohne gesetztes Flag, alle Switches setzen ihre MAC‑Aging‑Time auf den Standard zurück, und die Topologie gilt als konvergiert.

 

Inhalte einer Configuration BPDU

Feld	Bedeutung
Root Bridge ID	Kennung (Bridge Priority + MAC) der aktuellen Root Bridge
Root Path Cost	Gesamtkosten vom sendenden Switch bis zur Root Bridge
Bridge ID	Kennung des sendenden Switches
Port ID	Portnummer des sendenden Ports
Message Age	Alter der BPDU (um Loops von veralteten Infos zu vermeiden)
Max Age	Maximale Gültigkeitsdauer einer BPDU
Hello Time	Intervall, in dem BPDU verschickt werden (Standard: 2 Sekunden)
Forward Delay	Verzögerung für die Port-Zustände Listening und Learning

 

Vom STP zum RSTP – Spanning Tree in der Schnellspur

Das klassische Spanning Tree Protocol nach IEEE 802.1D ist seit Jahrzehnten das Fundament zur Schleifenvermeidung in redundanten Layer‑2‑Netzen. Seine Stabilität ist unbestritten – doch die Konvergenzzeit von 30–50 Sekunden kann im heutigen Netzbetrieb eine kleine Ewigkeit sein. Besonders dann, wenn für Unternehmen kritische Systeme beeinträchtigt werden.

Das Rapid Spanning Tree Protocol (RSTP), definiert in IEEE 802.1w, ist die modernisierte Variante, die die Stärken von STP übernimmt, aber die Netzwerk‑Konvergenz drastisch beschleunigt: In vielen Fällen werden Topologieänderungen innerhalb weniger Sekunden umgesetzt.
Die Verbesserungen umfassen optimierte Port‑Rollen, neue Port‑Zustände sowie vereinfachte Handshake‑Mechanismen, die den Weg zu nahezu unterbrechungsfreiem Layer‑2‑Failover ebnen.

 

Port‑Rollen in RSTP

Im RSTP übernimmt jeder Port eine klar definierte Rolle, die festlegt, welche Funktion er in der logischen Baumstruktur erfüllt. Diese Rollen bestimmen, ob der Port aktiv Daten weiterleitet, nur als Backup dient oder komplett blockiert.

Die Zuweisung der Rollen erfolgt dynamisch auf Basis der Bridge‑ID, der Pfadkosten und der empfangenen BPDU‑Informationen.
So wird sichergestellt, dass immer nur ein eindeutiger, schleifenfreier Weg zur Root‑Bridge existiert.

Port‑Rolle	Funktion	Typisches Einsatzszenario
Root Port (RP)	Port mit dem besten Pfad zur Root‑Bridge. Leitet Frames in Richtung Root weiter.	Auf jedem Switch max. 1; verbindet meist zu einem Upstream‑Switch in Richtung Root.
Designated Port (DP)	Bietet den besten Pfad zu einem bestimmten Segment. Leitet Frames vom Segment ins Netz weiter.	Pro Netzsegment genau 1; verbindet Clients oder Downstream‑Switches.
Alternate Port (AP)	Backup‑Pfad zur Root‑Bridge. Kann im Fehlerfall sofort aktiv werden.	Redundante Uplink‑Verbindung zu einem anderen Switch.
Backup Port (BP)	Backup‑Pfad zu demselben Segment, auf dem sich auch ein Designated Port des gleichen Switches befindet.	Selten im Einsatz; tritt v. a. bei Switches mit mehreren Verbindungen zu demselben Segment auf.
Disabled Port	Keine Teilnahme an RSTP, weder im aktiven noch passiven Sinne.	Admin‑down oder rein für Managementzwecke.

 

💡 Merke:

• Root Port = bester Weg zur Root‑Bridge
• Designated Port = bester Weg vom Segment ins Netz
• Alternate/Backup = Stand‑by für Ausfall‑Szenarien

 

Vergleich mit STP

RSTP führt zwei neue Rollen ein: Alternate und Backup, um Redundanz gezielter zu nutzen und Failover zu beschleunigen. Die alte STP‑Kategorie Non‑Designated wird in RSTP aufgesplittet, um klar zwischen alternativen Pfaden und Segment‑Backups zu unterscheiden. Rollen wie Root und Designated bleiben inhaltlich gleich, profitieren aber von den schnelleren Konvergenzmechanismen in RSTP.

Port‑Rolle	STP (802.1D)	RSTP (802.1w)	Unterschied / Neuerung
Root Port (RP)	Port mit bestem Pfad zur Root‑Bridge; immer im Forwarding‑State, sobald konvergiert.	Gleiche Funktion wie in STP.	Keine funktionale Änderung, aber schnellere Aktivierung bei Topologieänderung.
Designated Port (DP)	Bester Pfad vom Segment zur Root‑Bridge; leitet Frames ins Netz.	Gleiche Funktion wie in STP.	Ebenfalls unverändert in der Rolle, aber schnellere Umschaltung möglich.
Non‑Designated Port	Blockiert, um Schleifen zu verhindern.	Entfällt als Begriff; ersetzt durch Alternate oder Backup Port.	RSTP differenziert klar zwischen alternativen Pfaden (Alternate) und redundanten Segment‑Verbindungen (Backup).
(neu) Alternate Port (AP)	Nicht vorhanden.	Bietet alternativen Pfad zur Root‑Bridge, kann sofort übernehmen.	Neue Rolle in RSTP für schnelles Failover ohne Timer‑Wartezeit.
(neu) Backup Port (BP)	Nicht vorhanden.	Redundanter Pfad zu demselben Segment, auf dem bereits ein Designated Port des gleichen Switches aktiv ist.	Neue Rolle in RSTP; wird nur aktiv, wenn der Designated Port ausfällt.
Disabled Port	Administrativ deaktiviert, keine STP‑Teilnahme.	Gleiche Funktion.	Unverändert.

 

💡Hinweis: Auch bei Alternate oder Backup Ports befinden sich auf der anderen Seite Designated Ports.

Auf das Beispielhafte Netzwerk von STP bezogen würde sich bei RSTP folgende Konstellation ergeben:

Port-Rollen unter dem Rapid Spanning Tree Protocol. Quelle: Technik-Kiste.de

 

Port-Zustände in RSTP

Spanning Tree Protocol (STP) und Rapid Spanning Tree Protocol (RSTP) steuern nicht nur die Rollen (Root, Designated, Alternate, Backup), sondern auch die Zustände (States) der Ports.
Diese Zustände beschreiben, wie sich ein Port aktuell im Bezug auf Weiterleitung und Lernen von MAC‑Adressen verhält.

Der große Unterschied:

• Klassisches STP arbeitet mit längeren Konvergenzzeiten und festen Übergängen der Zustände.
• RSTP fasst bestimmte Zustände zusammen, eliminiert redundante Wartephasen und erreicht dadurch schnellere Umschaltungen im Fehlerfall.

RSTP‑Zustand	STP‑Zustand(e)	Bedeutung
Discarding	Blocking, Listening	Port leitet keine Frames weiter, lernt keine MAC‑Adressen. Wird genutzt für Ports, die keinen aktiven Pfad darstellen (z. B. Alternate, Backup). Im Gegensatz zu STP werden „Blocking“ und „Listening“ hier zusammengefasst.
Learning	Learning	Port leitet noch keine Frames weiter, lernt aber bereits Quell‑MAC‑Adressen, um spätere Weiterleitungstabelle aufzubauen.
Forwarding	Forwarding	Port leitet Frames weiter und lernt MAC‑Adressen. Aktive Rolle im Datenverkehr (z. B. Root‑Port, Designated‑Port).

 

💡 Wichtig zu merken:

• Bei RSTP gibt es nur 3 Zustände statt der 5 bei STP.
• Die Vereinfachung trägt entscheidend zur schnelleren Rekonvergenz bei.
• Zustandsübergänge werden bei RSTP direkt durch Handshake‑Mechanismen gesteuert, nicht nur durch Timer.

 

Änderung der Port-Zustände

Ein RSTP‑fähiger Switch erhält seine „Sicht auf die Welt“ primär durch Bridge Protocol Data Units (BPDU), die er und seine Nachbarn in regelmäßigen Abständen austauschen.
Darin stehen u. a.:

• Root‑Bridge‑ID (Wer ist die aktuelle Root)
• Root Path Cost (Kosten bis zur Root‑Bridge)
• Bridge‑ID des Absenders
• Port‑ID und Prioritäten
• Flags für den schnellen Proposal/Agreement‑Handshake und Topology Changes

Durch diese BPDU erkennt der Switch Topologieänderungen, entscheidet Portrollen (Root, Designated, Alternate, Backup) und setzt Zustände dynamisch, ohne lange feste Timer abwarten zu müssen:

1. Discarding

• Port leitet keine Frames, lernt keine MAC‑Adressen.
• Bewertet eingehende BPDUs und bestimmt, ob er aktiv werden darf.
• Fasst im Vergleich zu STP die früher getrennten Phasen Blocking und Listening
• Kann per Proposal/Agreement unmittelbar in Learning springen, wenn Schleifenfreiheit bestätigt ist.

2. Learning

• Leitet noch nicht weiter, lernt aber Quell‑MAC‑Adressen, um die Forwarding‑Tabelle vorzubereiten.
• Übergangszeit oft nur Millisekunden, da kein fester Forward‑Delay‑Timer erzwungen wird.

3. Forwarding

• Port leitet Frames weiter und lernt weiterhin MAC‑Adressen.
• Hat eine aktive Rolle (Root‑ oder Designated‑Port) im Datenverkehr.

 

Konvergenzmechanismus in RSTP

Proposal/Agreement‑Handshakes und der Unterschied zu Timern in klassischem STP

Das Rapid Spanning Tree Protocol (RSTP) nach IEEE 802.1w beschleunigt die Netzwerkkonvergenz erheblich, indem es auf einen direkten Handshake‑Mechanismus zwischen Switches setzt.
Während im klassischen STP (802.1D) Ports nach einer Topologieänderung starre Timerphasen (Listening und Learning, je 15 Sekunden) durchlaufen müssen, ermöglicht RSTP oft den Übergang in den Forwarding‑Zustand innerhalb von Sekunden.

🔄 Proposal/Agreement‑Mechanismus

1. Proposal – Ein Switch, der einen Port als Designated Port verwenden möchte, sendet seinem Nachbarn eine BPDU mit dem Proposal‑Flag gesetzt.
2. Prüfung – Der empfangende Switch prüft, ob durch Aktivierung dieses Ports eine Schleife entstehen würde.
3. Agreement –
   • Ist der Pfad schleifenfrei, setzt der empfangende Switch alle seine nicht‑Edge‑Ports vorübergehend in den Discarding‑Zustand, um eine sichere Topologie zu gewährleisten.
   • Anschließend antwortet er mit einer BPDU, in der das Agreement‑Flag gesetzt ist.
4. Freigabe – Nach Erhalt des Agreements darf der ursprüngliche Switch den Port sofort in den Forwarding‑Zustand bringen – ohne auf Forward‑Delay‑Timer zu warten.
5. Kaskadierung – Dieser Austausch erfolgt schrittweise zwischen allen Switch‑Nachbarn und ermöglicht so eine schnelle, koordinierte Netzwerkkonvergenz.

Ein Edge‑Port ist im Rapid Spanning Tree Protocol (RSTP) ein spezieller Switch‑Port, der direkt an ein Endgerät (z. B. PC, Drucker, Server) angeschlossen ist – also nicht an einen anderen Switch.

Dadurch gilt dieser Port aus Sicht des Spanning‑Tree‑Algorithmus als schleifenfrei, weil er keine alternativen Pfade ins Netzwerk öffnen kann.

⏳ Vergleich zu STP‑Timern

Merkmal	STP (802.1D)	RSTP (802.1w)
Zustände bis Forwarding	Blocking → Listening → Learning → Forwarding	Discarding → Learning → Forwarding
Wartezeit bei Topologieänderung	Fix: 2× Forward Delay (typisch 30 Sek.) plus ggf. Max Age (20 Sek.)	Dynamisch: Handshake‑basiert, i. d. R. 1–2 Sekunden
Aktivierung neuer Pfade	Zeitgesteuert durch Timer	Ereignisgesteuert durch Proposal/Agreement
Schleifenvermeidung	Sicherung durch lange Wartephasen	Sicherung durch temporäres Sperren aller Nicht‑Edge‑Ports während Handshake

 

Bridge Protocol Data Units (BPDU) bei RSTP

Die Bridge Protocol Data Units (BPDU) sind bei RSTP und STP vom Grundprinzip her ähnlich: sie transportieren die Kerninformationen zur Root‑Bridge, Pfadkosten, Absender‑Bridge‑ID und Port‑ID.
RSTP hat das Format aber erweitert und die Sende‑Logik angepasst, um die schnellere Konvergenz zu ermöglichen. Stellt man beide Protokolle gegenüber so findet man folgende Unterschiede:

Aspekt	STP (802.1D)	RSTP (802.1w)	Unterschied / Vorteil
BPDU‑Typ	Configuration BPDU (Root‑Info) und TCN BPDU (Topology Change Notification)	Nur ein BPDU‑Typ – die RSTP‑BPDU enthält sowohl Konfigurations‑ als auch Topology‑Change‑Informationen	Vereinfachung: keine separaten TCN‑BPDUs mehr nötig
Versandintervall	Nur die Root‑Bridge sendet regelmäßig (Hello‑Time, Standard 2 s); andere Switches leiten diese BPDUs weiter	Jeder Switch sendet seine eigenen BPDU in jedem Hello‑Intervall (Standard 2 s)	Schnellere Erkennung von Änderungen, keine reine Weiterleitung
Flags	TC‑Flag (Topology Change) und TCA‑Flag (Topology Change Acknowledgement)	Zusätzliche Bits für Proposal und Agreement (Handshake), sowie Role‑Flags (z. B. Alternate, Backup)	Ermöglicht den Proposal/Agreement‑Mechanismus für sofortige Umschaltung
Inhalt	Root‑ID, Root‑Path‑Cost, Bridge‑ID, Port‑ID, Timer‑Werte	Gleiche Basisfelder plus erweiterte Port‑Rollen‑Infos und Handshake‑Flags	Mehr Kontext pro BPDU, dadurch weniger Wartezeit nötig
Reaktion auf Änderungen	Topology‑Change‑Flag wird von der Root gesetzt und über Config‑BPDUs verteilt; MAC‑Aging‑Time wird verkürzt	Topology‑Change‑Info wird direkt in der nächsten BPDU jedes Switches gesetzt	Änderungen verbreiten sich schneller durchs Netz

 

Multiple Spanning Tree Protocol (MSTP)

Das Multiple Spanning Tree Protocol (MSTP) ist in IEEE 802.1s standardisiert und erweitert das Rapid Spanning Tree Protocol (RSTP) um die Fähigkeit, mehrere Spanning‑Tree‑Instanzen parallel zu betreiben.
Es wurde entwickelt, um in VLAN‑basierten Netzen sowohl Schleifenfreiheit als auch optimierte Lastverteilung zu ermöglichen.

 

Grundprinzip

• VLAN werden zu MST‑Instanzen (MSTI) zusammengefasst.
• Jede MSTI berechnet ihren eigenen logischen Spanning Tree.
• Innerhalb einer MST‑Region (Gruppe von Switches mit identischer MST‑Konfiguration) werden diese Instanzen gemeinsam verwaltet.
• Zusätzlich existiert der CIST (Common and Internal Spanning Tree), der die gesamte Region mit dem Rest des Netzes verbindet.

Unter MSTP werden neue Begriffe für die einzelnen Funktionen verwendet:

Begriff	Bedeutung
MSTI (Multiple Spanning Tree Instance)	Eine logische Spanning‑Tree‑Instanz, der ein oder mehrere VLAN zugeordnet sind.
CIST (Common and Internal Spanning Tree)	Der „übergeordnete“ Spanning Tree, der alle MST‑Regionen und nicht‑MST‑Switches verbindet.
MST‑Region	Gruppe von Switches mit identischer MST‑Konfiguration (Name, Revision, VLAN‑Zuordnung).
IST (Internal Spanning Tree)	MSTI 0 – die interne Darstellung des CIST innerhalb einer Region.

 

Internal Spanning Tree (IST) – MSTI 0

Die IST ist Instanz 0 in MSTP und fungiert als Rückgrat innerhalb einer MST‑Region. Sie bildet quasi die „Default‑Spanning‑Tree‑Instanz“, in der alle Switches einer Region mindestens mitspielen müssen.

Innerhalb der Region:
Die IST stellt sicher, dass alle Switches einer MST‑Region miteinander verbunden sind und dass kein Layer‑2‑Loop entsteht, selbst wenn noch keine weiteren MST‑Instanzen konfiguriert wurden.

Nach außen:
Die IST ist die interne Repräsentation des CIST (Common and Internal Spanning Tree) innerhalb der Region. Über sie kommuniziert die Region mit anderen MST‑Regionen oder reinen STP/RSTP‑Switches.

Stell dir vor, du hast drei VLAN‑Gruppen auf drei Instanzen verteilt:

• MSTI 1: VLAN 10, 20
• MSTI 2: VLAN 30, 40
• MSTI 0 (IST): enthält alle VLAN implizit, kümmert sich aber primär um Management‑ und Basis‑Topologie.

Selbst wenn MSTI 1 und 2 unterschiedliche Root Bridges und Pfade nutzen, bauen sie alle auf dem physikalischen Pfad der IST auf.

 

Multiple Spanning Tree Instance (MSTI)

Eine MSTI ist in MSTP eine eigene logische Spanning‑Tree‑Berechnung für eine Gruppe von VLAN.
Jede MSTI läuft parallel zur IST (MSTI 0), nutzt aber dieselben physischen Links – nur die Portzustände und Pfade können pro Instanz unterschiedlich sein. Es gilt:

• zugeordneten VLAN bauen eine optimierte Layer‑2‑Topologie auf.
• Lastverteilung ermöglichen, indem verschiedene MSTI unterschiedliche aktive Pfade nutzen.
• Änderungen in einer MSTI wirken sich nicht automatisch auf andere MSTI aus. Daraus resultiert eine höhere Netzstabilität.

Wie eine MSTI funktioniert:

1. VLAN‑Mapping:
   • Administrator ordnet bestimmte VLANs einer Instanz zu, z. B. MSTI 1: VLAN 10+20.
2. Unabhängige Root‑Wahl:
   • Jede MSTI kann einen eigenen Root Bridge haben, unabhängig von der IST oder anderen MSTI.
3. Pfadberechnung:
   • Berechnung basiert auf den Portkosten, nur für die VLAN dieser Instanz.
   • Nicht benötigte Ports in dieser MSTI werden in den Blocking/Discarding‑Zustand versetzt.
4. BPDU‑Verwaltung: Informationen aller MSTI werden gemeinsam in einer MSTP‑BPDU transportiert – so spart man Control‑Traffic.

 

MSTI vs. IST

Merkmal	MSTI (≥1)	IST (MSTI 0)
VLAN‑Zuweisung	Spezifische VLAN‑Gruppe	Implizit alle VLAN
Root‑Bridge	Eigenständig pro Instanz	Ein Root für gesamte Region
Pfadsteuerung	Individuell pro VLAN‑Gruppe	Basis‑Pfad für alles
Externe Kommunikation	Keine direkte – nur intern	Ja, repräsentiert den CIST
Ausfall‑Auswirkung	Nur betroffene VLAN‑Gruppe	Kritisch für alle Instanzen

 

💡 Praxisbeispiel

• MSTI 1: VLAN 10 & 20 – Root ist Switch A, aktiver Pfad über West‑Link.
• MSTI 2: VLAN 30 & 40 – Root ist Switch B, aktiver Pfad über Ost‑Link.

Ergebnis: Traffic wird über beide Links verteilt, ohne Loops, und Links werden besser ausgelastet.

🚀 Merke: MSTI sind das Werkzeug in MSTP, mit dem du VLAN‑spezifisch Lastverteilung planst. Die IST ist das Fundament – ohne sie existieren die MSTI nicht. Gute VLAN‑Gruppierung = optimale Linkausnutzung.

 

Common and Internal Spanning Tree (CIST)

Der „globale“ Spanning Tree, der alles verbindet

Der CIST ist im MSTP der übergeordnete, einheitliche Spanning Tree, der alle MST‑Regionen und nicht‑MSTP‑fähigen Switches (z. B. reine STP/RSTP‑Geräte) miteinander verbindet.
Er besteht aus:

• dem Common Spanning Tree (CST) zwischen den Regionen
• und der Internal Spanning Tree (IST) innerhalb jeder Region.

🧠 Kernaufgabe

• Schleifenfreiheit im gesamten Layer‑2‑Netz sicherstellen – auch über Regionsgrenzen hinweg.
• Interoperabilität zwischen MSTP‑Netzen und klassischen STP/RSTP‑Netzen gewährleisten.
• Root Bridge für das gesamte Netz bestimmen, nicht nur für eine einzelne Region.

🔗 Wie der CIST funktioniert

1. Root‑Bridge‑Wahl:
   • Alle Switches im gesamten Verbund (egal ob MSTP, RSTP oder STP) nehmen an der Wahl teil.
   • Der Gewinner ist die CIST Root Bridge – sie kann innerhalb oder außerhalb einer MST‑Region stehen.
2. Region‑Darstellung:
   • Jede MST‑Region erscheint nach außen wie ein einziger virtueller Switch.
   • Intern wird der CIST durch die IST (MSTI 0) repräsentiert.
3. BPDU‑Austausch:

• Zwischen Regionen oder zu STP/RSTP‑Switches werden CIST‑BPDU
• Innerhalb der Region werden diese Infos in MSTP‑BPDUs eingebettet.

📊 CIST vs. IST vs. MSTI

Merkmal	CIST	IST (MSTI 0)	MSTI (≥1)
Geltungsbereich	Gesamtes Netz (alle Regionen)	Innerhalb einer Region	VLAN‑Gruppe innerhalb einer Region
Root‑Bridge	Global	Regional (für MSTI 0)	Eigenständig pro Instanz
Kommunikation extern	Ja, zu allen Switches	Ja, repräsentiert CIST intern	Nein
Abhängigkeit	Fundament für alle Regionen	Fundament für alle MSTIs	Baut auf IST auf

🚀 Merke: Der CIST ist das „Dach“ über allen Instanzen und Regionen hinweg. Ohne den CIST gäbe es keine einheitliche Schleifenvermeidung über Regionsgrenzen hinweg. Die IST ist die innere Stimme des CIST in einer Region, MSTIs sind Spezialisten für VLAN‑Gruppen.

 

MST-Region

Eine MST‑Region ist eine Gruppe von Switches, die identische MST‑Parameter besitzen und dadurch als eine logische Einheit im MSTP‑Netzwerk auftreten.
Innerhalb einer Region werden alle MST‑Instanzen (IST + MSTI) gemeinsam verwaltet, nach außen wirkt die Region wie ein einziger virtueller Switch.

🧠 Kernaufgabe

• Interne Organisation: Alle Switches in der Region teilen sich dieselbe MST‑Konfiguration, um konsistente Spanning‑Tree‑Berechnungen zu gewährleisten.
• Externe Darstellung: Gegenüber anderen Regionen oder STP/RSTP‑Switches tritt die Region als ein Knoten im CIST auf.
• Skalierbarkeit: Große Netze lassen sich in mehrere Regionen aufteilen, um Verwaltung und Lastverteilung zu optimieren.

🔗 Wie eine MST‑Region funktioniert

1. Konfigurationsabgleich:
   Damit Switches zur selben Region gehören, müssen drei Parameter exakt übereinstimmen:
   • Region‑Name (frei wählbar, dient als Identifikator)
   • Revision‑Nummer (Versionszähler für Konfigurationsänderungen)
   • VLAN‑zu‑MSTI‑Mapping (Zuordnungstabelle)
2. Region‑Grenzen:
   • Stimmen diese Parameter nicht überein, gilt der Switch als Boundary Switch und bildet die Schnittstelle zu einer anderen Region oder zu STP/RSTP‑Netzen.
3. Interne Topologie:
   • Innerhalb der Region sorgt die IST (MSTI 0) für die Basis‑Topologie.
   • Weitere MSTIs steuern VLAN‑spezifische Pfade.
4. Externe Kommunikation:

• Die Region tauscht CIST‑BPDUs mit anderen Regionen oder STP/RSTP‑Switches aus.

📊 MST‑Region im Vergleich

Merkmal	Innerhalb der Region	Zwischen Regionen
BPDU‑Typ	MSTP‑BPDU (enthält alle Instanzen)	CIST‑BPDU
Topologie‑Berechnung	Pro MSTI	Nur CIST
Darstellung	Mehrere Instanzen	Ein virtueller Switch

🚀 Merke

• Eine MST‑Region ist wie ein Team, das intern viele Spielzüge (MSTIs) hat, aber nach außen mit einer Stimme (CIST) spricht.
• Konsistente Konfiguration ist Pflicht – schon ein Tippfehler im Namen trennt Switches in unterschiedliche Regionen.
• Region‑Grenzen sind strategische Punkte für Lastverteilung und Redundanzplanung.

 

Port-Rollen

Stellt man STP, RSTP und MSTP gegenüber findet man zwar die RSTP-Rollen – zusätzlich zu diesen jedoch noch zwei weitere:

Port‑Rolle	STP	RSTP	MSTP	Beschreibung
Root Port (RP)	✔️	✔️	✔️	Port mit dem besten Pfad zur Root‑Bridge der jeweiligen Instanz.
Designated Port (DP)	✔️	✔️	✔️	Port, der für ein Segment Frames weiterleitet und BPDUs sendet.
Alternate Port (AP)	❌	✔️	✔️	Backup‑Pfad zur Root‑Bridge, wird nicht weitergeleitet, springt bei Ausfall ein.
Backup Port (BP)	❌	✔️	✔️	Backup‑Pfad zu demselben Segment wie ein DP, meist an Shared Links.
Edge Port (EP)	❌	✔️	✔️	Direkt zu Endgeräten, sofort in Forwarding (PortFast‑ähnlich).
Master Port (MP)	❌	❌	✔️	Speziell in MSTP: Port mit bestem Pfad zur CIST Root außerhalb der eigenen Region.
Regional Edge Port (REP)	❌	❌	✔️	Port am Rand einer MST‑Region, der wie ein Edge Port behandelt wird, aber zu einem anderen Switch führt.

Port-Zustände

Die Port‑Zustände sind bei RSTP und MSTP identisch – MSTP nutzt hier den RSTP‑Mechanismus:

Zustand	Bedeutung
Discarding	Keine Nutzdatenweiterleitung, keine MAC‑Adressen lernen, BPDU werden empfangen/gesendet.
Learning	Keine Nutzdatenweiterleitung, aber MAC‑Adressen werden gelernt, BPDU werden verarbeitet.
Forwarding	Volle Weiterleitung von Frames, MAC‑Learning aktiv, BPDU werden verarbeitet.

Die älteren STP‑Zustände Blocking und Listening sind in RSTP/MSTP im Zustand Discarding zusammengefasst.

 

Konvergenzen

Bei MSTP basiert die Konvergenz im Kern auf dem schnellen Rapid-Spanning‑Tree‑Mechanismus, der für jede Instanz, also sowohl für die IST als auch für jede einzelne MSTI, parallel arbeitet.

Sobald irgendwo in der Topologie eine Änderung auftritt, etwa weil ein Link ausfällt oder ein neuer dazukommt, tauschen die betroffenen Switches über Proposal‑ und Agreement‑Nachrichten die nötigen Informationen aus, um die Pfade neu zu berechnen. Dadurch wechseln die Ports deutlich schneller in den Forwarding‑Zustand, als man es von klassischem STP kennt.

In einer sauber geplanten MST‑Region liegen die Umschaltzeiten oft unter einer Sekunde; fällt zum Beispiel der Root‑Port direkt aus, übernimmt der Alternate Port praktisch sofort. Selbst bei indirekten Fehlern, etwa wenn weiter oben im Pfad ein Root‑Port wegbricht, ist die Konvergenz meist nach zwei Hello‑Intervallen abgeschlossen, oft sogar früher. Kommt ein neuer Link hinzu, wird über den schnellen Handshake geprüft, ob er genutzt werden kann, das dauert in der Regel nur wenige Zehntelsekunden.

Wie flott das Ganze in der Praxis abläuft, hängt allerdings von mehreren Faktoren ab:

• Je größer die Topologie, desto länger dauert die Verbreitung der BPDU
• die Wahl der Timer‑Werte beeinflusst die Erkennungsgeschwindigkeit
• eine hohe Auslastung der Switch‑CPU kann den Prozess verlangsamen
• und der Aufbau der Regionen wirkt sich ebenso aus. Eine einheitliche, konsistente Region konvergiert schneller als viele kleine mit zahlreichen Grenzen

Auch die richtige Konfiguration der Port‑Typen spielt mit hinein: Edge‑Ports an Endgeräten und korrekt gesetzte Point‑to‑Point‑Links beschleunigen den Übergang erheblich. Wer diese Best Practices beherzigt, holt aus MSTP die maximal mögliche Geschwindigkeit bei einer Topologieänderung heraus, ohne auf die Flexibilität der Instanzen verzichten zu müssen.

 

Bridge Protocol Data Units (BPDU) unter MSTP

Unter MSTP sind die BPDU im Kern eine Weiterentwicklung der RSTP‑BPDU, aber sie tragen zusätzlich die komplette MST‑Region‑ und Instanz‑Information in sich.

Das heißt: Eine einzige MSTP‑BPDU enthält nicht nur die Daten für die CIST (Common and Internal Spanning Tree), sondern auch die Parameter aller MSTI innerhalb der Region.

Bereich	Inhalt	Kurzbeschreibung
Kopfteil	Root‑ID, Bridge‑ID, Port‑ID, Kosten, Zeitparameter	Grundinfos zur Topologie und Portrolle – wie bei RSTP
Version	Protokoll‑Version = 3	Erkennungsmerkmal: MSTP
Region‑Information	Name, Revision, VLAN‑Mapping‑Fingerprint	Definiert, zu welcher MST‑Region die BPDU gehört
CIST‑Daten	Externe & interne Kosten, Root IDs, Remaining Hops	Beschreibt den Common and Internal Spanning Tree
MSTI‑Blöcke	Je Instanz: Rolle, Root‑ID, Kosten, Hops	Mini‑Datensätze für jede zusätzliche MST‑Instanz

 

BPDU Guard

BPDU Guard ist ein Sicherheits‑Feature für Switchports, das dein Layer‑2‑Netzwerk vor unerwünschten oder bösartigen Spanning‑Tree‑Einflüssen schützt.

🛡️ Grundidee

• BPDU = Bridge Protocol Data Unit, die Steuer‑Frames, mit denen Switches im Spanning Tree Protocol (STP/RSTP) ihre Topologie abstimmen.
• BPDU Guard sorgt dafür, dass Access‑Ports, an denen Endgeräte (PCs, Drucker, Server) hängen, sofort deaktiviert werden, wenn dort eine BPDU empfangen wird.
• Hintergrund: Endgeräte sollten nie BPDUs senden. Wenn doch, könnte das auf eine Fehlkonfiguration oder einen Angriff hindeuten (z. B. jemand hängt einen Switch an einen Port mit PortFast).

⚙️ Funktionsweise

1. PortFast aktiviert → Port geht sofort in den Forwarding‑State, ohne STP‑Übergangsphasen.
2. BPDU Guard zusätzlich aktivieren → Port wird überwacht.
3. Empfängt der Port eine BPDU, wird er in den Errdisable‑Status versetzt (vergleichbar mit administrativem Shutdown).
4. Reaktivierung erfolgt manuell oder – falls konfiguriert – automatisch nach einem Timer.

🎯 Vorteile

• Verhindert Layer‑2‑Loops durch versehentlich angeschlossene Switches.
• Schützt vor BPDU‑Spoofing und Manipulation der STP‑Topologie.
• Einfach zu konfigurieren, global oder pro Interface.

💡 Praxis‑Tipp: BPDU Guard immer auf allen PortFast-Ports aktivieren. So stellst du sicher, dass nur deine vorgesehenen Switch‑Links am STP teilnehmen – und nicht plötzlich ein „fremder“ Switch das Root‑Bridge‑Amt übernimmt.

 

🛡️ Geltungsbereich von BPDU Guard

• Prinzip: BPDU Guard ist kein eigenes Protokoll, sondern eine Schutzfunktion auf Switchports.
  Sie reagiert auf eingehende BPDUs, egal ob diese aus klassischem STP (802.1D), Rapid STP (802.1w) oder Multiple STP (802.1s) stammen.
• Voraussetzung:
  • Die Funktion muss aktiviert sein (global oder pro Port).
  • Typischerweise wird sie auf Access‑Ports mit PortFast eingesetzt.
• Wirkung:
  • Erkennt der Port irgendeine BPDU (unabhängig vom STP‑Flavor), wird er in den Errdisable‑Status versetzt.
  • Damit wird verhindert, dass ein ungewollter Switch oder ein manipuliertes Gerät Einfluss auf die Layer‑2‑Topologie nimmt.

Hersteller‑Hinweis: Ursprünglich von Cisco als STP‑Erweiterung entwickelt, heute aber auch in ähnlicher Form bei anderen Herstellern verfügbar. Die Logik ist immer gleich: BPDU erkannt → Port blockiert.